Перед початком навіть відносно нескладної хірургічної операції на столі може лежати кілька десятків інструментів: скальпелі, ножиці, затискачі, пінцети, рано розширювачі, голкотримачі та багато іншого, причому навряд чи комусь спаде на думку оцінювати професіоналізм хірурга за кількістю інструментів, які він використав. Скальпель не стає гіршим через те, що ним неможливо накласти шов, затискач не повинен виконувати функцію ножиць, а досвідчений хірург не намагається застосувати весь набір лише тому, що він є в операційній; спочатку він розуміє, яке завдання має вирішити на конкретному етапі операції, а потім бере інструмент, призначений для цього завдання. Можливо, порівняння ризик-менеджменту з хірургією виглядає дещо несподіваним, проте воно дуже точно передає одну з проблем, з якою доводиться регулярно стикатися в практиці управління ризиками.

За останні десятиліття професійний інструментарій ризик-менеджера став надзвичайно широким: реєстри та карти ризиків, інтерв’ю і ризик-сесії, ключові індикатори ризику, сценарний аналіз, стрес-тестування, аналіз першопричин, оцінювання потенційних втрат, ризик-апетит, толерантність і ліміти, аналіз інцидентів, тестування контролів, плани безперервності діяльності та багато інших методів, кожен із яких вирішує певне завдання і за відповідних умов може бути дуже корисним. Проблема виникає тоді, коли організація обирає один або два знайомі інструменти й починає використовувати їх майже для всього: реєстр ризиків перетворюється на універсальну модель системи управління ризиками, теплова карта використовується для обґрунтування ризик-апетиту, KRI намагаються одночасно застосовувати для оцінювання ризику та контролю ефективності заходів, а стрес-тестування іноді зводиться до механічного збільшення кількох фінансових показників на заданий відсоток.

У результаті можна отримати доволі парадоксальну ситуацію: формально компанія використовує загальновизнану методику, має реєстр ризиків, систему оцінювання, кольорову карту, набір KRI та регулярну звітність, але управлінське питання, заради якого все це створювалося, залишається без відповіді. Якщо страховик хоче зрозуміти, чи витримає його капітал одночасну реалізацію кількох великих ризиків, ранжування ризиків за шкалою від одного до п’яти йому майже не допоможе; якщо Правління хоче знати, чи наближається компанія до небезпечної зміни збитковості портфеля, одноразова оцінка цього ризику як «високого» також мало що дасть; якщо після серйозного операційного інциденту необхідно зрозуміти, чому не спрацювали встановлені контролі, ще одна ризик-сесія навряд чи замінить аналіз причин події. Інструменти в усіх цих випадках можуть бути професійними й цілком коректними, проте вони відповідають не на ті запитання, які поставив перед собою бізнес.

Тому в цій статті я пропоную не складати черговий каталог методів ризик-менеджменту і не намагатися визначити, які з них є «кращими» або «сучаснішими». Значно корисніше подивитися на інструментарій з іншого боку: яке управлінське питання потрібно вирішити і який метод здатний дати для цього необхідну інформацію. Такий підхід змінює логіку роботи ризик-менеджера, оскільки відправною точкою стає не наявний шаблон, методика чи програмний продукт, а конкретне рішення, яке має прийняти компанія, і тоді реєстр ризиків, KRI, сценарний аналіз, стрес-тестування або аналіз першопричин займають кожен своє місце — приблизно так, як інструменти на столі хірурга.

Спочатку питання, потім інструмент

Уявімо досить звичайну ситуацію у страховій компанії: протягом кількох кварталів погіршуються результати одного з видів страхування, збитковість ще не досягла критичного рівня, однак її динаміка викликає занепокоєння, а одночасно з цим зростає середня страхова сума, продажі дедалі частіше звертаються по погодження нестандартних умов, врегулювання повідомляє про збільшення кількості складних збитків, тоді як зовнішнє перестрахування стало дорожчим і менш доступним. Ризик уже можна внести до реєстру, оцінити його ймовірність та вплив, поставити червону або жовту позначку на тепловій карті й навіть повідомити Правлінню, що андеррайтинговий ризик зріс, але після всіх цих дій головне запитання залишиться відкритим: що компанія повинна робити з цією інформацією?

Перш ніж обирати метод аналізу, ризик-менеджеру варто розкласти загальне занепокоєння на кілька конкретних управлінських запитань, тому що кожне з них потребуватиме іншої інформації. Чому погіршується результат — через зміну структури портфеля, недостатність тарифів, збільшення частоти збитків, зростання їх середнього розміру, послаблення андеррайтингових критеріїв чи комбінацію цих факторів? Чи є погіршення тимчасовим коливанням або стійкою тенденцією? Яким буде фінансовий результат через рік, якщо поточна динаміка збережеться? Що станеться з капіталом і ліквідністю за несприятливого сценарію? Наскільки фактичний рівень ризику наблизився до встановленого ризик-апетиту? За якими ознаками можна зрозуміти, що ситуація погіршується швидше, ніж очікувалося? Які управлінські дії здатні змінити траєкторію ризику і як перевірити, чи дали вони результат? Це вже не одне питання про «рівень ризику», а цілий ланцюг різних завдань, і спроба вирішити їх одним методом майже неминуче призведе до втрати важливої інформації.

Для пошуку причин ризик-менеджеру можуть знадобитися аналіз структури портфеля, інцидентів і відхилень, інтерв’ю з андеррайтингом, продажами та врегулюванням, а за потреби — аналіз першопричин; для оцінювання можливого майбутнього розвитку ситуації вже кориснішим буде сценарний аналіз, тоді як для перевірки стійкості компанії за несприятливого розвитку подій знадобиться стрес-тестування, щоб зрозуміти, чи не виходить прийнятий ризик за межі, визначені компанією, результат потрібно зіставити з ризиковою спроможністю, ризик-апетитом, толерантністю та відповідними лімітами, а для подальшого спостереження за його динамікою необхідні KRI та інші ранні попереджувальні сигнали. Жоден із цих інструментів не замінює інший, оскільки кожен відповідає на власне запитання, а разом вони дозволяють перейти від констатації «ризик підвищився» до значно кориснішого для керівництва розуміння того, чому він підвищився, куди може привести компанію, скільки такого ризику вона готова прийняти і коли необхідно втручатися.

Цей приклад показує й іншу поширену проблему: інструмент нерідко обирається не тому, що він найкраще відповідає завданню, а тому, що компанія вже вміє ним користуватися. Якщо корпоративна методологія побудована навколо матриці «ймовірність — вплив», майже будь-яке нове питання намагаються пропустити через цю матрицю; якщо багато років основним документом був реєстр ризиків, нову проблему насамперед прагнуть правильно в нього записати; якщо керівництво звикло до KRI, виникає спокуса перетворити на індикатор будь-який доступний показник. Така стандартизація має свої переваги, оскільки забезпечує порівнянність і дисципліну процесу, проте вона стає небезпечною, коли методика починає визначати зміст аналізу, а не навпаки, і ризик-менеджер поступово переходить від запитання «Що нам потрібно зрозуміти?» до запитання «У яку форму це потрібно записати?».

Повернімося до нашого страховика й припустимо, що після першого аналізу з’ясувалося: загальна збитковість портфеля поки залишається прийнятною, але за договорами, укладеними з відхиленнями від стандартної андеррайтингової політики, вона помітно вища, кількість таких відхилень протягом року зросла, а найбільший приріст припадає на канал продажів, який компанія активно розвиває. Тепер управлінське питання вже формулюється значно точніше: чи створює політика комерційних винятків такий рівень додаткового ризику, який виправдовується отриманою премією, і що станеться, якщо поточна практика продовжиться ще дванадцять місяців? Для першої частини знадобиться порівняльний аналіз результатів стандартного та нестандартного бізнесу, для другої — сценарне моделювання, після чого отримані потенційні втрати можна співвіднести з ризик-апетитом і капіталом, а кількість винятків, їхню частку в новому бізнесі та динаміку збитковості використати як показники для подальшого моніторингу.

У цьому й полягає професійна логіка вибору інструменту: ризик-менеджер не повинен починати з того, який метод він хоче застосувати, спочатку він має зрозуміти, яку інформацію потрібно отримати для управлінського рішення. Коли це питання сформульовано правильно, вибір методу часто стає майже очевидним, а широкий інструментарій ризик-менеджменту перестає виглядати набором конкуруючих методик і перетворюється на систему взаємодоповнюючих засобів, кожен із яких потрібний у своєму місці й у свій момент — так само, як жодному хірургу не потрібно доводити, що скальпель важливіший за голкотримач лише тому, що операція починається з нього.

Одне управлінське рішення — кілька різних інструментів

Широкий інструментарій ризик-менеджменту легко сприйняти як набір окремих методик, кожну з яких можна вивчити, описати у внутрішньому документі й застосовувати за встановленою процедурою, проте в реальній роботі вони значно частіше утворюють послідовність, у якій результат застосування одного методу породжує наступне управлінське питання і, відповідно, потребу в іншому інструменті. Ризик-сесія може допомогти виявити проблему, але не обов’язково пояснить її причини; аналіз даних дозволить побачити, де вона концентрується, але ще не покаже, що відбудеться за несприятливого розвитку подій; сценарний аналіз дасть уявлення про можливі наслідки, але сам по собі не відповість, чи готова компанія їх прийняти; порівняння з ризик-апетитом та лімітами дозволить визначити прийнятність ризику, після чого виникне нове питання — як контролювати його подальшу динаміку, тому професійна робота з ризиком рідко нагадує використання одного універсального приладу, який видає готову відповідь, і значно більше схожа на діагностичний процес, у якому кожний наступний крок залежить від того, що було встановлено на попередньому.

Розглянемо іншу ситуацію, також цілком типову для страховика. Протягом кількох місяців у врегулюванні збитків формальні показники залишаються прийнятними: середній строк врегулювання суттєво не змінився, кількість скарг не зростає, критичних інцидентів не зафіксовано, а встановлені ліміти не порушуються, тому на рівні регулярної ризикової звітності підстав для серйозного занепокоєння начебто немає. Проте під час ризик-сесії керівник підрозділу згадує, що працівники дедалі частіше залишаються після завершення робочого дня, частину перевірок переносять на пізніші етапи, складні справи фактично тримають на собі двоє найдосвідченіших фахівців, а у випадку їх одночасної відсутності замінити їх практично нікому. Тут ризик-сесія виконала свою функцію: вона виявила слабкі сигнали, яких не було в регулярній звітності, але спроба одразу оцінити «операційний ризик врегулювання» за шкалою від одного до п’яти дала б компанії значно менше, ніж кілька додаткових запитань.

Спочатку потрібно зрозуміти, що відбувається з процесом: як змінюється кількість справ на одного працівника, скільки операцій виконується вручну, які контрольні процедури відкладаються або скорочуються, наскільки процес залежить від конкретних людей, чи збільшується кількість повернень справ на доопрацювання і як довго підрозділ здатний підтримувати поточний рівень роботи за рахунок понаднормового навантаження. Тут потрібні аналіз процесу, операційних даних, залежностей та причин накопичення навантаження, а не чергова дискусія про те, чи поставити ризику оцінку «3» або «4». Якщо аналіз підтвердить, що запас стійкості скорочується, наступним питанням може стати вже інше: що відбудеться, якщо кількість страхових випадків протягом короткого періоду збільшиться на 30–40 відсотків, один із ключових фахівців вибуде на місяць або одночасно виникне збій інформаційної системи? Для відповіді потрібний сценарний аналіз або стрес-тест процесу, оскільки компанію тепер цікавить не поточний стан, а поведінка системи за умов, які суттєво відрізняються від звичайних.

Припустімо, такий аналіз показав, що за помірного збільшення навантаження підрозділ ще здатний підтримувати прийнятні строки врегулювання, але поєднання пікового потоку збитків із відсутністю одного ключового працівника швидко призведе до накопичення справ, скорочення частини контрольних процедур і різкого зростання операційних помилок. Тепер ризик-менеджер має вже не проблему «високого навантаження персоналу», а конкретний сценарій із визначеними причинами, можливими наслідками та критичними залежностями, і на цьому етапі можна обговорювати управлінські заходи: перерозподіл функцій, підготовку дублюючих фахівців, автоматизацію окремих операцій, зміну пріоритетності справ, залучення додаткових ресурсів або створення резервної процедури на випадок пікового навантаження. Після прийняття рішення знову змінюється питання: компанії потрібно вже не виявляти ризик і не моделювати його наслідки, а розуміти, чи наближається процес до небезпечної межі, тому доречними стають показники навантаження, накопичення неврегульованих справ, частоти ручних втручань, понаднормової роботи або концентрації складних справ на окремих працівниках, тобто ті індикатори, які здатні завчасно показати зміну ризикової ситуації.

Цей приклад важливий ще й тому, що демонструє: один ризик не має одного «правильного» інструменту, а вибір методу залежить від того, на якій стадії роботи з ним перебуває компанія. Спочатку ризик-сесія допомогла побачити проблему, якої не показувала звітність; потім аналіз процесу дозволив зрозуміти її причини та критичні залежності; сценарний аналіз перевірив стійкість процесу за несприятливих умов; після цього були визначені заходи реагування, а для контролю подальшої ситуації знадобилися індикатори раннього попередження. Якби ризик-менеджер на першому етапі обмежився оновленням оцінки в реєстрі ризиків, усі подальші знання про реальний стан процесу могли б так і не з’явитися, хоча формально процедура оцінювання ризику була б виконана бездоганно.

Ту саму логіку можна застосувати до стратегічних, фінансових, операційних, комплаєнс-, ІТ- та інших ризиків, оскільки за різноманіттям методів стоїть відносно проста система професійних запитань. Якщо потрібно побачити, що може піти не так, корисними будуть ризик-сесії, інтерв’ю, аналіз процесів, даних, змін у бізнесі та зовнішньому середовищі; якщо потрібно зрозуміти, чому це може статися, знадобляться аналіз причин, драйверів, залежностей, контрольного середовища та накопичених інцидентів; якщо необхідно оцінити можливі наслідки, доцільними стають кількісні оцінки, сценарії та моделювання; якщо компанія хоче знати, що станеться за значно гірших умов, на перший план виходить стрес-тестування; якщо необхідно визначити, чи може компанія дозволити собі такий рівень ризику, результат потрібно співвіднести з ризиковою спроможністю, ризик-апетитом, толерантністю та лімітами; якщо ж завдання полягає в тому, щоб не пропустити погіршення ситуації, потрібні KRI, тригери та інші сигнали раннього попередження. Це не жорстка класифікація, оскільки окремі методи можуть працювати одразу на кількох етапах, але вона допомагає не втрачати головного зв’язку між управлінським питанням та способом отримання відповіді.

І тут з’являється ще одна важлива відмінність між наявністю інструментарію та вмінням ним користуватися. Компанія може мати чудово розроблені методики стрес-тестування, ризик-сесій, KRI, оцінювання ризиків і контролів, але якщо кожна з них існує як окремий регламентований процес зі своїм календарем, формами та звітами, результати одного процесу можуть ніколи не стати вхідною інформацією для іншого. Ризик-сесія проводиться у березні, стрес-тестування — у червні, ризик-апетит переглядається восени, KRI звітуються щомісяця, а реєстр оновлюється щокварталу, проте ніхто не ставить запитання, чи пов’язані між собою сигнали, які з’явилися в цих різних процедурах, і чи не розповідають вони різними способами про один процес, що змінюється. У такій системі може бути багато інструментів, але ще не бути повноцінного інструментарію, тому що останній виникає тоді, коли методи не просто співіснують, а доповнюють один одного в процесі підготовки та прийняття управлінського рішення.

Хірург під час операції також не оцінює кожний інструмент окремо і не намагається довести, що один із них універсальніший за інші: він змінює їх відповідно до того, яке завдання виникає на конкретному етапі втручання, а результат залежить не від кількості предметів на операційному столі, а від правильності їх вибору та послідовності застосування. Для ризик-менеджера ця аналогія має цілком практичний зміст: широкий набір методів створює професійну спроможність лише тоді, коли ризик-менеджер уміє переходити від одного інструменту до іншого разом зі зміною управлінського питання, не намагаючись отримати від реєстру ризиків, теплової карти, KRI або стрес-тесту відповіді, для яких вони ніколи не були призначені.

Коли хороший інструмент застосовують не для тієї задачі

Помилка у виборі інструменту небезпечна тим, що її не завжди легко помітити: метод може бути цілком професійним, процедура — виконаною відповідно до внутрішніх документів, результати — акуратно оформленими й винесеними на розгляд керівництва, але управлінське рішення все одно спиратиметься на інформацію, якої цей метод у принципі не здатний дати. У хірургії така невідповідність була б очевидною, оскільки ніхто не стане накладати шов скальпелем лише через те, що це чудовий хірургічний інструмент, а в ризик-менеджменті межі застосування методів значно менш помітні, тому теплова карта починає відповідати на питання про фінансову стійкість, KRI — підміняти оцінку ризику, реєстр — підтверджувати повноту його виявлення, а кількість контрольних процедур — використовуватися як доказ того, що ризик перебуває під належним контролем. Розглянемо кілька ситуацій, у яких така підміна виглядає переконливо, доки не поставити просте запитання: яку інформацію ми насправді хотіли отримати?

Теплова карта не відповість, скільки ризику може витримати компанія

Припустімо, страховик оцінює два ризики як «високі»: катастрофічний ризик у майновому страхуванні та операційний ризик критичної інформаційної системи, причому обидва потрапляють до червоної зони матриці з однаковою підсумковою оцінкою. З погляду пріоритизації це корисна інформація — обидва ризики потребують уваги керівництва, але якщо Правління запитає, який із них створює більшу загрозу для капіталу і чи здатна компанія одночасно пережити їх реалізацію, теплова карта перестає бути достатнім інструментом. За однаковою оцінкою можуть стояти потенційні втрати у 5 млн грн і 50 млн грн, різна швидкість реалізації ризику, різні можливості страхового чи перестрахового покриття, різний вплив на ліквідність та зовсім різна залежність від інших ризиків.

Ситуація стає ще цікавішою, коли всі основні ризики окремо перебувають у межах затвердженої толерантності, але несприятливий сценарій здатний реалізувати кілька з них одночасно. Наприклад, велика природна подія спричиняє значний обсяг страхових виплат, одночасно збільшує навантаження на врегулювання, створює потребу в додатковій ліквідності, ускладнює роботу окремих підрядників і призводить до перебоїв у роботі контактного центру; на тепловій карті це можуть бути чотири окремі ризики з цілком прийнятними індивідуальними оцінками, тоді як для компанії важливий їх сукупний фінансовий та операційний ефект. Тут потрібні сценарний аналіз, стрес-тестування, оцінка потенційних втрат, аналіз ліквідності та капіталу, а за достатньої зрілості системи — врахування залежностей між ризиками, оскільки управлінське питання звучить уже не «Які ризики найважливіші?», а «Який удар ми здатні витримати?»

KRI може попередити про зміну ризику, але не замінює його оцінювання

Інша поширена ситуація виникає, коли компанія має добре розвинену систему ключових індикаторів ризику і поступово починає сприймати їх як універсальну характеристику стану ризику. Наприклад, для кіберризику встановлено кількість критичних вразливостей, частку своєчасно встановлених оновлень, кількість спроб несанкціонованого доступу та час усунення виявлених недоліків, усі показники перебувають у зеленій зоні, тому у звіті з’являється висновок, що рівень кіберризику є прийнятним. Проте ці індикатори повідомляють лише про ті характеристики ризикового середовища, які компанія вирішила вимірювати, і нічого не гарантують щодо факторів, які до набору KRI не потрапили: нової критичної залежності від зовнішнього постачальника, зміни архітектури системи, появи нового способу атаки або концентрації доступу до критичних даних у невеликої групи користувачів.

Уявімо ще простіший страховий приклад. Компанія контролює збитковість певного виду страхування як KRI, і показник протягом року залишається нижчим за встановлений поріг, однак частка договорів із нестандартними умовами зростає, середня страхова сума збільшується, а частина великих збитків ще не встигла проявитися у статистиці. Зелений KRI тут не означає низького ризику — він лише повідомляє, що конкретний показник поки не перетнув визначену межу, тому для оцінювання майбутньої експозиції потрібні аналіз структури портфеля, сценарії, оцінка концентрацій та інші методи. Індикатор відповідає на питання, чи змінюється певна ознака ризику, але не повинен автоматично відповідати на значно ширше питання, яким є рівень ризику компанії.

Реєстр ризиків не доводить, що компанія знає про всі свої ризики

Ще одна спокуслива помилка — сприймати добре заповнений реєстр як підтвердження повноти ідентифікації ризиків. Якщо документ регулярно переглядається, містить десятки ризиків, їх причини, наслідки, власників, оцінки та заходи реагування, виникає природне відчуття, що ризиковий профіль компанії описаний достатньо повно, хоча реєстр за своєю природою значно краще зберігає вже відоме, ніж виявляє те, чого організація ще не помітила. Особливо небезпечно це стає у періоди швидких змін, коли нові продукти, технології, канали продажів, постачальники або регуляторні вимоги змінюють ризиковий профіль швидше, ніж відбувається чергове формальне оновлення документа.

Наприклад, страховик передає зовнішньому провайдеру частину процесу врегулювання, але в реєстрі вже існує операційний ризик «помилки під час врегулювання збитків», тому нову модель роботи просто включають до його опису й не проводять окремого аналізу. Через кілька місяців з’ясовується, що компанія залежить не лише від якості роботи провайдера, а й від його інформаційної системи, доступності персоналу, захисту даних, фінансової стійкості, субпідрядників та здатності швидко повернути процес усередину компанії у випадку припинення співпраці. Формально ризик був у реєстрі весь цей час, але реальна структура залежностей змінилася настільки, що старий запис уже не описував нову експозицію, і побачити це можна було б через аналіз процесу, постачальника, сценарії його відмови та оцінку концентрації зовнішніх залежностей, а не через чергове редагування формулювання в реєстрі.

Велика кількість контролів ще не означає низького залишкового ризику

Особливо підступною може бути віра в кількість контрольних процедур. Під час оцінювання операційного ризику власник процесу повідомляє, що для нього встановлено десять або п’ятнадцять контролів: погодження операцій, розподіл повноважень, автоматичні перевірки, звірки, журнали подій, вибірковий контроль керівника, резервне копіювання, періодичні перевірки доступів, тому залишковий ризик оцінюється як низький. На папері така аргументація виглядає переконливо, але ризик-менеджера повинна цікавити не кількість контролів і навіть не факт їх формального існування, а те, які причини та сценарії ризику вони перекривають, наскільки стабільно працюють і що залишається незахищеним після їх застосування.

Уявімо процес здійснення великої страхової виплати, для якого передбачено кілька рівнів погодження, перевірку документів, автоматичні права доступу та фінальний контроль платежу, проте всі ці процедури використовують дані, внесені на початковому етапі одним працівником, і незалежної перевірки правильності ключових реквізитів до моменту платежу немає. Компанія може мати сім контрольних процедур, але всі вони побудовані навколо одного помилкового припущення — що початкові дані правильні, тому кількість контролів створює відчуття захищеності, не усуваючи критичної точки відмови. У такій ситуації потрібні аналіз дизайну контролів, тестування їх фактичної роботи, розбір сценарію помилки або шахрайства, а не механічне зниження оцінки залишкового ризику через те, що у відповідній графі перелічено багато контрольних заходів.

Стрес-тест — це не «плюс 20 відсотків»

Окремої уваги заслуговує стрес-тестування, оскільки цей інструмент легко перетворити на математичну вправу, яка виглядає кількісною, але мало говорить про поведінку бізнесу за справді несприятливих умов. Наприклад, страховик бере поточну збитковість і збільшує її на 20 відсотків, зменшує премії на 10 відсотків, підвищує витрати на 15 відсотків, після чого розраховує фінансовий результат і називає отриману модель стрес-сценарієм. Таке тестування може бути корисним для оцінки чутливості, але воно ще не пояснює, чому ці показники зміняться одночасно, які події можуть це спричинити, як відреагують клієнти, перестраховики, постачальники та сама компанія і які вторинні ризики виникнуть у процесі.

Значно змістовнішим може бути сценарій, у якому страховик протягом короткого періоду отримує серію великих збитків, перестраховик затримує відшкодування, ліквідні активи доводиться реалізовувати за несприятливих ринкових умов, врегулювання працює з піковим навантаженням, а негативні відгуки клієнтів починають впливати на нові продажі. Тут перевіряється вже не окремий фінансовий показник, а здатність компанії пройти через ланцюг взаємопов’язаних подій, і результат такого аналізу може показати слабке місце, якого взагалі не було видно у початковій моделі: наприклад, капіталу достатньо для покриття збитків, але компанія стикається з короткостроковим дефіцитом ліквідності ще до отримання перестрахового відшкодування. Стрес-тест стає управлінським інструментом тоді, коли перевіряє не красиву формулу, а стійкість бізнес-моделі до правдоподібного важкого сценарію.

Аналіз першопричин не повинен закінчуватися на «людському факторі»

Схожа проблема виникає після операційних інцидентів, коли компанія використовує цілком правильний інструмент — аналіз першопричин, — але зупиняється надто рано. Працівник помилково здійснив платіж, андеррайтер погодив договір із некоректними умовами, співробітник несвоєчасно подав регуляторну звітність, оператор неправильно вніс інформацію до системи, після чого причиною інциденту називають «людський фактор», проводять додаткове навчання персоналу і закривають захід. Проте «людський фактор» у багатьох випадках є не першопричиною, а останньою видимою ланкою значно довшого ланцюга: чому помилку могла допустити одна людина, чому система її не виявила, чому контроль не спрацював, чи було навантаження надмірним, чи зрозумілою була процедура, чи не існувало конфлікту між швидкістю виконання операції та якістю перевірки, чи траплялися аналогічні відхилення раніше.

Наприклад, якщо регуляторний звіт подано із запізненням через помилку відповідального працівника, навчання цієї людини може виглядати логічним заходом, але додатковий аналіз здатний показати, що вихідні дані надходили від трьох підрозділів у різних форматах, два з них регулярно порушували внутрішні строки, частину показників доводилося коригувати вручну, автоматичного контролю повноти не існувало, а весь процес залежав від одного спеціаліста, який у день подання звітності одночасно вирішував кілька інших термінових завдань. У такому випадку інцидент став не результатом одиничної помилки, а проявом слабкої конструкції процесу, тому повторне навчання працівника лікуватиме найбільш видимий симптом, залишаючи незмінними умови для наступної помилки.

Усі ці приклади об’єднує одна закономірність: ризик-менеджмент помиляється не лише тоді, коли використовує слабкий або застарілий метод, а й тоді, коли від хорошого методу очікує відповіді на питання, для якого він не призначений. Теплова карта може чудово допомагати з пріоритизацією, KRI — з раннім попередженням, реєстр — зі структурованим збереженням інформації про відомі ризики, контрольні процедури — зі зниженням конкретних експозицій, стрес-тестування — з перевіркою стійкості, а аналіз першопричин — із розумінням механізму вже реалізованої події, проте жоден із цих інструментів не стає універсальним лише тому, що компанія добре навчилася ним користуватися.

І тут ми підходимо до питання, яке, на мій погляд, має завершити практичну логіку цієї статті: як ризик-менеджеру, маючи перед собою десятки доступних методів, швидко визначити, який із них потрібний у конкретній ситуації? Для цього зовсім не обов’язково створювати ще одну складну методологію вибору методологій; значно корисніше мати просту професійну логіку, яка починається з кількох запитань про управлінське рішення, невизначеність, необхідну інформацію та наслідки помилки у виборі.

І до неї я б перейшов у наступній частині цієї статті.

Сергій БАБИЧ